Poți pune datele clienților în ChatGPT? Ghid GDPR pentru firme

„Pot să pun datele clienților în ChatGPT?" e probabil cea mai frecventă întrebare de conformitate din firmele românești în 2026 — și una la care circulă două răspunsuri la fel de greșite: „sigur că da, toată lumea o face" și „în niciun caz, e ilegal". Răspunsul corect e condiționat: da, poți folosi date ale clienților în unelte AI, dacă o faci în cadrul pe care GDPR îl cere oricărei prelucrări — cu temei, cu contract de prelucrare, cu minimizare și pe conturile potrivite. Acest ghid îți dă exact acel cadru, în ordinea în care îl construiești, plus greșelile care au produs deja amenzi reale.

Regula de bază: AI-ul nu e o excepție de la GDPR

Primul lucru de fixat: din perspectiva GDPR, a introduce datele unui client într-un chatbot AI e o prelucrare de date ca oricare alta — la fel ca trimiterea lor pe email sau încărcarea într-un CRM. Nu există un „regim special AI" care să te scutească de reguli, și nici unul care să interzică AI-ul în bloc. Se aplică tot ce știai deja: ai nevoie de un temei legal, de un scop determinat, de minimizare, de transparență față de persoanele vizate și de garanții contractuale față de furnizorii care prelucrează pentru tine.

Autoritățile au confirmat explicit această încadrare. Comitetul European pentru Protecția Datelor a adoptat în decembrie 2024 Opinia 28/2024 privind prelucrarea datelor personale în contextul modelelor AI — temeiurile legale posibile, condițiile în care un model poate fi considerat anonim și consecințele prelucrărilor ilegale. Iar cu câteva zile înainte, autoritatea italiană de protecție a datelor (Garante) a amendat OpenAI cu 15 milioane EUR pentru încălcări legate de ChatGPT — de la lipsa unui temei adecvat pentru datele de antrenare până la deficiențe de transparență (decizia e contestată de OpenAI, dar mesajul de supraveghere e limpede): furnizorii de AI și firmele care îl folosesc sunt în raza autorităților, nu într-o zonă gri tolerată.

În România, autoritatea competentă e ANSPDCP — iar faptul că nu a existat încă un val de controale pe tema AI nu e un motiv de relaxare, ci exact fereastra în care îți pui ordine în casă ieftin.

Diferența care schimbă tot: contul personal vs planul business

Aproape întreaga discuție practică se reduce la o singură distincție pe care multe firme o ignoră:

Pe conturile personale/gratuite, datele introduse pot fi folosite pentru antrenarea modelelor (în funcție de setările utilizatorului), nu ai contract de prelucrare cu furnizorul și nu ai control organizațional. Un angajat care lipește lista de clienți în contul lui personal de ChatGPT a scos, practic, datele firmei din orice cadru de conformitate — exact fenomenul de shadow AI despre care am scris pe larg.

Pe planurile business și pe API, situația e structural diferită. OpenAI declară explicit că, în mod implicit, nu antrenează modelele pe datele din ChatGPT Team, Enterprise, Business sau API și oferă Data Processing Addendum (DPA) — contractul de prelucrare pe care art. 28 GDPR îl cere când un furnizor prelucrează date pentru tine. Situația e similară la Anthropic (planurile Team/Enterprise și API — fără antrenare pe conținutul tău în mod implicit) și la ofertele business Google. Cu alte cuvinte: infrastructura pentru folosirea conformă există și e matură — trebuie doar să o cumperi pe ea, nu varianta de consumator.

Regula practică memorabilă: dacă în fluxul tău apar date ale clienților, contul personal nu e o opțiune — nu pentru că un chatbot e periculos în sine, ci pentru că fără DPA și fără excluderea antrenării nu poți demonstra conformitatea nimănui, în frunte cu clienții tăi.

Fluxul corect în 5 pași

1. Cartografiază cazul de utilizare. Ce date, ale cui, în ce scop? „Vreau să rezum conversațiile de suport ca să răspund mai repede" e un caz definit, cu scop legitim evident. „Băgăm baza de clienți în AI să vedem ce iese" nu e un scop — e o abatere în așteptare.
2. Alege temeiul legal și verifică-l. Pentru majoritatea utilizărilor interne (sinteză, drafturi de răspuns, clasificare), temeiul e de regulă interesul legitim sau executarea contractului cu clientul — dar analiza trebuie făcută și documentată pe cazul tău, nu copiată. Pentru categorii speciale de date (sănătate, de exemplu) pragul urcă semnificativ; acolo nu improvizezi.
3. Contractează corect furnizorul: plan business + DPA semnat. Verifică explicit: excluderea antrenării pe datele tale, unde se stochează datele (rezidență UE dacă e disponibilă), durata de retenție, sub-procesatorii. Toate acestea sunt în documentația furnizorilor serioși — dacă un furnizor nu le oferă, ai răspunsul despre el.
4. Minimizează înainte de a introduce. Cea mai subestimată măsură: de cele mai multe ori, sarcina AI nu are nevoie de identitatea clientului. „Rezumă această plângere" funcționează identic cu numele înlocuit de „Clientul X". Pseudonimizarea înainte de introducere reduce dramatic și riscul, și miza oricărui incident. Iar pentru fluxurile cu volum, întreabă-te dacă nu e cazul unei evaluări de impact (DPIA) — obligatorie când prelucrarea e susceptibilă de risc ridicat.
5. Scrie regulile și instruiește oamenii. O politică internă de utilizare AI — ce unelte sunt aprobate, ce date au voie să intre în ele, pe ce conturi — transformă conformitatea din noroc în sistem. Și revizuiește-o periodic: furnizorii își schimbă condițiile, apar unelte noi în echipă, iar politica din ianuarie poate fi deja incompletă în septembrie. Un calendar trimestrial de revizuire — cine verifică, ce verifică — e diferența dintre un document viu și unul decorativ. Instruirea nu mai e opțională nici formal: cerința de alfabetizare AI din articolul 4 al AI Act se aplică din februarie 2025, iar restul obligațiilor din regulament se așază peste GDPR, nu în locul lui.

Cum arată în practică, pe departamente

Ca să nu rămână teoretic, iată aceeași regulă aplicată pe trei fluxuri tipice:

• Suport clienți: „rezumă istoricul acestei conversații și propune un răspuns" — caz legitim clasic, pe plan business cu DPA, ideal cu identitatea clientului pseudonimizată înainte de introducere. Ce nu faci: exporturi întregi de tichete cu date de contact „ca să aibă AI-ul context".
• Vânzări: drafturi de emailuri și sinteze de întâlniri — legitime în același cadru; atenție specială la notele de întâlnire care conțin informații despre persoane terțe și la înregistrările de call-uri, unde intră reguli suplimentare de consimțământ. Lista completă de clienți cu date de contact încărcată „pentru segmentare" într-un cont personal — exact anti-exemplul acestui ghid.
• Marketing: analize pe date agregate și anonimizate — teren sigur; personalizarea pe date individuale de comportament — teren reglementat, unde temeiul (adesea consimțământul) trebuie verificat înainte, nu după. Regula scurtă pentru toate trei: cu cât sarcina cere mai puțină identitate reală, cu atât ești mai liber — și aproape toate sarcinile cer mai puțină decât li se dă.

Întrebările-test pe care ți le va pune orice auditor (sau client mare)

Un B2B serios în 2026 primește tot mai des chestionare de securitate cu secțiune de AI. Dacă poți răspunde la aceste cinci întrebări, ești în fața majorității pieței: Ce unelte AI folosiți și pe ce planuri? Aveți DPA cu furnizorii? Datele clienților noștri sunt folosite la antrenarea modelelor? Cine din organizație are acces și pe ce conturi? Există politică internă și instruire documentată? — Observă că niciuna nu întreabă „folosiți AI?"; toate întreabă „îl folosiți controlat?".

Greșeli frecvente — și cum arată varianta corectă

1. Angajați cu conturi personale + date de clienți. Cea mai răspândită și cea mai gravă. Fix: plan business pentru echipă + politică clară + blocarea alternativei prin oferirea uneia legitime.
2. „Nu punem nume, deci nu-s date personale." Emailul, numărul de telefon, ID-ul de comandă, chiar combinațiile de detalii care fac persoana identificabilă — toate sunt date personale. Minimizarea reală se face pe definiția din lege, nu pe intuiție.
3. DPA nesemnat pentru că „e doar un test". Testul cu date reale e prelucrare reală. Testezi pe date fictive sau anonimizate; contractezi înainte de producție.
4. Confuzia între confidențialitate și antrenare. „Nu antrenează pe datele mele" nu înseamnă „datele nu pleacă nicăieri" — ele tot ajung la furnizor pentru procesare. De aceea contează DPA-ul, retenția și rezidența datelor, nu doar bifa de training.
5. Politica există, oamenii n-o știu. Documentul din SharePoint nu protejează pe nimeni. Protejează instruirea scurtă, repetată, cu exemple din munca reală a fiecărui departament.
6. Ignori drepturile persoanelor. Clienții își păstrează drepturile GDPR (acces, ștergere, opoziție) și când datele lor trec printr-o unealtă AI — fluxurile tale trebuie să le poată onora.

Cum te ajută cursurile de pe Cursuri AI

Dacă acest articol ți-a descris exact haosul din firma ta, ai două unelte pe platformă construite pentru el: cursul Politica de utilizare AI și Shadow AI te duce de la zero la o politică internă funcțională — cu șabloane, cazuri și partea de instruire a echipei — iar pentru deciziile de sus, AI pentru lideri de business așază adopția AI în cadrul complet: valoare, riscuri, conformitate și cum le echilibrezi fără să blochezi inovația. Pentru echipele care ating date personale zilnic, combinația celor două e, practic, asigurarea profesională a anului.

Întrebări frecvente

Î: E legal să folosesc ChatGPT cu datele clienților mei?

Da, cu condițiile pe care GDPR le cere oricărei prelucrări: scop determinat, temei legal documentat, plan business sau API cu DPA semnat (nu cont personal), minimizarea datelor introduse și informarea corespunzătoare a persoanelor vizate. Ilegală nu e unealta, ci folosirea ei în afara acestui cadru — de exemplu date reale de clienți pe un cont gratuit personal, fără contract de prelucrare și fără control.

Î: Ce e un DPA și chiar îmi trebuie?

Data Processing Addendum — contractul prin care furnizorul AI se obligă, conform art. 28 GDPR, să prelucreze datele doar conform instrucțiunilor tale, cu măsuri de securitate, reguli de retenție și listă de sub-procesatori. Da, îți trebuie ori de câte ori date personale ale clienților tăi ajung la furnizor. Furnizorii mari (OpenAI, Anthropic, Google) îl oferă pe planurile business și API — semnarea lui e de obicei la câteva clickuri, deci lipsa lui nu are scuză practică.

Î: Furnizorii AI se antrenează pe datele firmei mele?

Pe planurile business și pe API ale furnizorilor mari — nu, în mod implicit: OpenAI declară explicit că nu folosește datele din ChatGPT Team/Enterprise/Business sau API pentru antrenare, iar Anthropic are aceeași politică pe planurile comerciale. Pe conturile personale, în schimb, datele pot fi folosite la antrenare în funcție de setările utilizatorului — încă un motiv pentru care distincția personal/business e centrul întregii discuții.

Î: Ce risc concret am dacă nu fac nimic din toate astea?

Trei straturi: legal (amenzile GDPR ajung la 20 mil. EUR sau 4% din cifra de afaceri globală, iar autoritățile au demonstrat că domeniul AI e în vizor — vezi amenda de 15 mil. EUR aplicată OpenAI în Italia), comercial (clienții B2B cer tot mai des dovada controlului asupra uneltelor AI — chestionarele de due diligence au deja secțiuni dedicate) și reputațional (un singur incident cu date de clienți scurse printr-un cont personal costă mai mult decât toată conformitatea la un loc). Partea bună: pașii din acest ghid se implementează în săptămâni, nu în ani — iar primul (inventarul uneltelor folosite azi în firmă) se face într-o singură după-amiază și îți arată imediat cât de mare e, de fapt, problema.

Concluzie

Datele clienților pot lucra cu AI — legal, controlat și cu beneficii reale de productivitate — dar numai în ordinea corectă: întâi cadrul, apoi uneltele. Distincția personal/business, DPA-ul semnat, minimizarea înainte de introducere și o politică pe care oamenii chiar o cunosc: patru lucruri care despart firmele ce folosesc AI în liniște de cele care vor apărea în comunicatele autorităților. Regula finală e aceeași pe care o repetăm în tot ce scriem despre AI și date: folosește AI-ul ca să lucrezi mai repede, niciodată ca să verifici mai puțin — iar cu datele altora, verificarea începe înainte de primul prompt.

Acest articol are caracter informativ și nu constituie consultanță juridică. Pentru situația concretă a firmei tale, consultă un specialist în protecția datelor; sursele oficiale de referință sunt edpb.europa.eu și dataprotection.ro (ANSPDCP).